Trojan.MulDrop21.50617

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\NGEN46446_32] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\NGEN46446_32] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\v2.0_2.0.0.0__97698d31e223878\LocationNotifications.exe'

Создает следующие сервисы

'NGEN46446_32' %ALLUSERSPROFILE%\Microsoft\v2.0_2.0.0.0__97698d31e223878\LocationNotifications.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\locationnotifications.exe
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\wshomj.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\msdxmc.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\tdcd.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\wshoml.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\stdole2u.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\simpdatai.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\msdatsrcf.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\stdole2s.tlb
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\slmgrk.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\slmgrf.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\winrmo.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\slmgrx.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\winrmy.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\slmgrw.vbs
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\hhctrlk.ocx
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\wscuir.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\firewalln.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\bthpropsd.cpl
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\wsmanconfig_schemah.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\ndfeventviewl.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\xpsrchvwf.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\xpsrchvwc.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\tcpbidit.xml
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\tapisrvu.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\odbc32f.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\mciqtz32q.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\ubpmo.dll
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\rcx8ee8.tmp
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\rcx8ec8.tmp
%TEMP%\tmp8eb7.tmp
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\firewallg.cpl
nul

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\locationnotifications.exe

Перемещает следующие файлы

%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\rcx8ec8.tmp в %ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\locationnotifications.exe
%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\rcx8ee8.tmp в %ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\locationnotifications.exe

Самоудаляется.

Сетевая активность

Подключается к

'61.##.140.152':10204
'61.##.208.123':10204
'62.##2.163.50':10204

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\v2.0_2.0.0.0__97698d31e223878\locationnotifications.exe'
'%WINDIR%\syswow64\cmd.exe' /d /c ping -n 2 127.0.0.1 > NUL & fsutil file setzerodata offset=0 length=524288 "<Полный путь к файлу>" & del "<Полный путь к файлу>" > NUL & exit' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /d /c ping -n 2 127.0.0.1 > NUL & fsutil file setzerodata offset=0 length=524288 "<Полный путь к файлу>" & del "<Полный путь к файлу>" > NUL & exit
'%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
'%WINDIR%\syswow64\fsutil.exe' file setzerodata offset=0 length=524288 "<Полный путь к файлу>"